Lodestone で作成されるリンクが target="_blank" 属性が指定されている一方で rel="noopener" 属性が指定されていません。
このことにより、リンク先のページからリンク元の Lodestone のタブを操作することができ、Lodestone を偽のログイン画面に遷移させることができてしまいます。
実証ページ : https://jp.finalfantasyxiv.com/lodes.../blog/4204976/
Q. コワイ！ ロドストの日記にあるリンククリックしたらアカウント乗っ取られちゃうの？
A. 偽のログイン画面を出せるだけだから、ID とパスワードを入力するときはアドレス欄を確認するようにすれば大丈夫です
Q. セキュリティ関係のことをフォーラムに書くべきでないのでは。悪用されたらどうするのか
A. サポートセンターにメールで報告したら「フォーラムに書け」って言われたので……
追記 : このフォーラムにも同様の問題があるようです
Lodestone に Tabnabbing 脆弱性が存在する
Printable View
-
08-17-2019, 06:59 PMAryn_RaLodestone に Tabnabbing 脆弱性が存在する
-
08-18-2019, 12:06 PMMahika
#いくらなんでもなぁ……と思ってしまったので。
「一定時間内での返答ルール」などの内部ルールや「定型返答」によるものかもしれないけれど。Quote:
Originally Posted by Aryn_Ra
「リスク(or セキュリティ)マネジメント」としてどうなんだろう？、と思ってしまう。 -
08-18-2019, 03:18 PMMatthaus
target="_blank"を使っているサイト自体は他にも沢山あるので、
根本的な解決には、ブラウザー側で対処(ブロック)してもらうしかないようですね。
自分も知らなかったので、ちょっと怖くなりました。
ブラウザ自体のマウススクロール中クリック機能では怪しい動作をしなかったので、
一先ずこれで対処しようかと思います。
とは言え事前にtarget="_blank"が使われているリンクなのか知り得ないと回避できないのですが... -
08-18-2019, 04:27 PMAryn_Raまあ、サーバを乗っ取ることができるとか、他人のアカウントをいきなり奪えるとかの大問題でこれ言われたら「ちょっと！」ってなるしQuote:
Originally Posted by Mahika
私も食い下がって間違ってもフォーラムには書かないけど、これくらいだったらなんとも言えないところ。
Web アプリケーションとかでも使われてるので、今更仕様が変わることはなさそうかなー。Quote:
Originally Posted by Matthaus
「怪しいページが Gmail のログイン画面になってた」だと警戒心も働くけど
「Lodestone が Lodestone のログイン画面になってた」だと
「セッションタイムアウトで自動ログアウトされたのかな？」と思って入力しそうになるのが注意ポイントですね。 -
08-18-2019, 08:55 PMMahikaPCのブラウザで有れば、画面サイズとの兼ね合いで、アドレス欄にも注意が行きやすいけれど。Quote:
Originally Posted by Aryn_Ra
スマホのブラウザの場合、「セッション切れたかな？」と思い込んでいると、気付きにくいかもなぁ。 -
10-03-2019, 08:24 PMGunisaka
こんばんは。
ご指摘いただいた点について、Lodestoneと公式フォーラムともに対応いたしました。Quote:
Originally Posted by Aryn_Ra
ご報告ありがとうございます。 -
09-01-2020, 03:38 PMAryn_Ra
古いスレッド上げちゃってすみません。1年越しの補足と訂正です。
Quote:
Originally Posted by Matthaus
これ、私の不勉強だったのですが、2019/08時点の仕様で既に target="_blank" の時 rel="noopener" を暗示していると見なすように仕様が変更されておりQuote:
Originally Posted by Aryn_Ra
Safari は既にこの仕様に対応済み、その後 Firefox も対応しました。Google Chrome も近く対応されるでしょう。
というわけで、この部分については私が完全に適当言ってました。Matthaus さんの言う通りブラウザ側で対処される流れです。